Se hizo un uso indebido de una función de AWS Lambda para modificar datos. Un ingeniero de seguridad necesita identificar quién invocó la función y qué devolvió. Sin embargo, no hay registros de la función en Amazon CloudWatch Logs. ¿Qué explicación justifica la falta de registros?

La respuesta correcta es que el rol de ejecución de la función Lambda no incluye permisos para escribir registros en CloudWatch Logs. Para que una función Lambda envíe sus registros a CloudWatch Logs, el rol de ejecución asociado debe tener los permisos adecuados, como logs:CreateLogGroup, logs:CreateLogStream y logs:PutLogEvents. Sin estos permisos, la función se ejecutará, pero no se generarán registros en CloudWatch. Las otras opciones son incorrectas: La invocación a través de Amazon API Gateway no impide que los registros de Lambda se almacenen en CloudWatch Logs; de hecho, API Gateway también puede enviar sus propios registros a CloudWatch. CloudWatch Logs no utiliza un bucket de Amazon S3 para almacenar sus registros de forma predeterminada; los almacena directamente en su propio servicio. Una versión desactualizada de la función Lambda no afectaría la capacidad de escribir registros si el rol de ejecución tiene los permisos correctos.